nsp 扫描问题

Question

我正在使用 nsp 来扫描漏洞。我看到一个奇怪的行为。

在脚本、依赖项、devDependency 部分我有以下内容

{
    "scripts": {
        "security-scan:nsp": "nsp check --threshold 10 --reporter json"
    },
    "dependencies": {
        "joi": "10.x",
        "dotenv": "4.0.0",
        "nsp": "3.2.1"
    },
    "devDependencies": {
        "lab": "14.x",
        "code": "4.x",
        "eslint": "4.1.1",
        "eslint-plugin-import": "2.7.0"
    }
}

如果我运行 npm run security-scan:nsp 我会遇到一些漏洞，但现在如果我将 nsp 从依赖项移动到 devDependency 并运行 npm run security-scan:nsp strong> 我没有任何漏洞。任何人都可以在这里帮助我。

Answer 1

Nsp 不扫描开发依赖项。新的npm audit 命令确实如此，并且它使用相同的漏洞数据库，但没有任何 nsp 的格式化选项。